В середине сентября 2026 года на публичной платформе MalwareBazaar (репозиторий образцов вредоносного ПО) появилась серия Windows-файлов от одного аккаунта. Один из них заявлен как программа для воздействия на промышленные системы управления (ICS - комплексы, которые управляют технологическим оборудованием на предприятиях). Автор публикации описал его как новый вредонос под названием S7Flip. По словам загрузившего, программа пытается менять данные программируемых логических контроллеров (ПЛК - устройства, исполняющие команды на производственной линии), маскируется в системе и закрепляется в автозапуске. Реальный ущерб для оборудования не подтверждён: наблюдения пока ограничиваются изучением самого файла.
Описание
Вредоносное ПО для промышленных систем встречается реже, чем банковские трояны или программы-вымогатели. Каждый такой эпизод важен для предприятий с дорогим оборудованием: ошибка в показаниях датчика или в команде исполнительному механизму способна остановить линию и испортить партию продукции. Появление S7Flip и связанных с ним файлов профильное сообщество заметило сразу.
После закрепления в автозапуске под именем, похожим на системный компонент, S7Flip сканирует локальную сеть. Он перебирает адреса внутренних диапазонов и проверяет, открыты ли на найденных устройствах порты, которые обычно используют промышленные контроллеры. Один порт характерен для оборудования Siemens, работающего по протоколу S7Comm (фирменный способ обмена данными между контроллером и системой управления). Второй стандартен для протокола Modbus TCP (открытый промышленный протокол, поддерживаемый устройствами разных производителей). Третий зарезервирован за контроллерами Allen-Bradley, которые общаются по протоколу EtherNet/IP (промышленный стандарт на базе обычных сетевых технологий). Ветка для Allen-Bradley, впрочем, нерабочая: клиент для EtherNet/IP в коде отсутствует, и программа пытается подключиться к такому устройству как к контроллеру Siemens. Оборудование, у которого открыт только этот порт, атаке не подвергается.
Определив доступные цели, S7Flip применяет один из двух механизмов разрушения либо оба сразу. По данным Центра промышленной экспертизы Positive Technologies, первый механизм случайным образом сдвигает значения в памяти контроллера: программа читает число из блока данных, прибавляет к нему случайную величину в пределах от минус десяти до плюс десяти и записывает результат обратно. Второй механизм инвертирует биты: меняет на противоположный младший бит в байтах и переключает дискретные ячейки, которые отвечают за команды и флаги. Каждое изменение попадает в журнал рядом с исполняемым файлом: время, тег, производитель устройства, старое и новое значение. Второй найденный образец повторяет ту же логику, разница лишь в том, как в него встроена библиотека для работы с Modbus.
Третий файл из той же серии оказался программой-уничтожителем, или вайпером (вредоносное ПО, стирающее данные без возможности восстановления). При запуске он предлагает установить Microsoft Edge. Отказ означает, что программа просто завершит работу. Согласие запускает удаление всего содержимого рабочего стола, создание файла из случайных байт и текстового документа с просьбой перевести сто долларов в биткоинах. Расшифровка не предусмотрена: содержимое нигде не сохраняется, поэтому выкуп теряет смысл. Указанный в требованиях кошелёк - официальный кошелёк для донатов проекта Bitcoin.org. Деньги с жертв автор не собирает.
Четвёртый образец, получивший индекс v5 в имени, показывает развитие инструмента. В новой версии появилось шифрование файлов, причём не только на рабочем столе, но и в папках загрузок и документов. Ключ для расшифрования лежит рядом с программой в открытом виде, а кошелёк для выкупа остался прежним. Такая небрежность типична для тестовых сборок, которые автор дорабатывает вручную.
Между S7Flip и вайперами обнаружились совпадения. Все файлы собраны одним набором инструментов, время сборки двух образцов совпадает с точностью до дня, а загружены они с одного аккаунта. Этого хватает для осторожного вывода о взаимосвязи, но не для утверждения, что за всем стоит один человек. Автор, судя по частоте публикаций, активно тестирует свои наработки и может перейти к реальным атакам позже.
Для предприятий ситуация важна по двум причинам. Промышленные протоколы не предполагают шифрования и проверки подлинности команд, поэтому доступ к контроллеру из локальной сети почти равен доступу к оборудованию. Сегментация сети, запрет на прямой выход контроллеров в интернет, регулярное обновление компонентов и резервные копии конфигураций снижают риск. Пользователям вне заводских сетей полезно помнить о простой маскировке: установщик с именем популярного браузера и требованием выкупа - повод закрыть файл и проверить систему. Резервные копии важных данных, двухфакторная аутентификация и внимательность к неожиданным запросам остаются базовыми мерами.
Индикаторы компрометации
